11-2023

Software/Tools/Kits
Regulatorische Vorgaben
und Standards
Ähnlich wie die Stückliste in der
Fertigung entwickelt sich die SBOM
zu einem festen Bestandteil des
Anforderungskatalogs in Kaufverträgen
und Request for Information
(RFIs). Auch auf Seiten des
Gesetzgebers rückt die Software-
Stück liste in den Mittelpunkt. Der
von der EU vorgelegte Entwurf des
Cyber Resilience Act (CRA) macht
die SBOM zur Pflicht. Entwickler
sind demnach unmittelbar für Cyberattacken
haftbar, wenn diese auf
Sicherheitslücken im Code zurückzuführen
sind. Auch Branchenverbände
wie die GENIVI Alliance und
die Automotive Grade Linux (AGL)
sprechen sich für die verbindliche
Einführung der SBOM aus.
Noch kein Standard für
SBOM-Erstellung
Trotz aller Initiativen: Noch fehlt
es an dem einen Standard für die
Erstellung von SBOMs. Verschiedene
Stakeholder geben Informationen
auf unterschiedliche Art und
Weise entlang der Lieferkette weiter.
Das reißt Lücken in die Dokumentation
und macht sie fehleranfällig.
Zu den vom BSI anerkannten
Formaten gehören SPDX in der Version
2.3 oder höher sowie CycloneDX
in der Version 1.4 oder höher. Doch
Vorsicht: Auch hier ist die Wahl von
jeweiligen Präferenzen abhängig. So
wird SPDX beispielweise von Microsoft
genutzt, während Siemens auf
das CycloneDX-Format setzt.
Best Practices
Unternehmen sollten darüber
hinaus beim Erstellen einer SBOM
einigen grundlegenden Best Practices
folgen:
• Aufbereitung:
Für einen hohen Automatisierungsgrad
sollte der Datensatz einer
SBOM maschinenlesbar sein und
über strukturierte Datenformate
und Austauschprotokolle verfügen.
Tools können dann das Auslesen
und Erstellen der Stückliste übernehmen,
die Listen nach Sicherheits-
und Compliance-Verstößen
scannen und diese mit dem Software-Code
abgleichen. Die Automatisierung
ist notwendig, um der
Fülle an SBOM-Informationen sowie
den unterschiedlichen Strukturen
von SBOMs Herr zu werden.
• Mehrwert für die IT-Sicherheit:
SBOMs an sich enthalten keine
Aussage zu Schwachstellen oder
deren Ausnutzbarkeit. Dafür
bedarf es eines Abgleichs mit
CVE(Common Vulnerabilites and
Exposures)-Informationen oder
Security Advisories. Auch eine
Analyse oder der Einsatz eines
Software Composition Analysis-
Tool entfällt durch die SBOM nicht.
Vielmehr sollten SBOMs mit Ergebnissen
von Analysen und Sicherheitsupdates
kombiniert werden.
Vulnerability Disclosure Reports
(VDR) oder Vulnerability Exploitability
eXchange (VEX) liefern
eine aktuelle Momentaufnahme
der Sicherheitslage und verweisen
auf die in der SBOM aufgelisteten
Code-Komponenten.
• Kontinuierliche Aktualisierung:
Ein Update der SBOM muss in
regelmäßigen und klar abgesteckten
Zeiträumen stattfinden,
wenn sie nicht an Bedeutung verlieren
will. Hersteller nutzen oft ein
neues Release als Gelegenheit
zur Überprüfung und Aktualisierung.
In manchen Fällen bestimmen
auch Vertragsvereinbarungen
mit Kunden sowie Compliance-
Richtlinien den Zyklus.
SBOM Kreislauf © Revenera
• Dedizierte Teams:
Die Komplexität des Software
Supply Chain Managements
setzt klar definierte Prozesse und
neue Rollen und Verantwortlichkeiten
im Unternehmen voraus.
Im Open Source Program Office
(OSPO) arbeiten beispielsweise
verschiedene Abteilungen (z. B.
Recht, Entwicklung, Produktmanagement,
Sicherheit) zusammen,
um Richtlinien für den sicherheitskonformen
Umgang von Open-
Source- und Dritt-Code zu implementieren.
Die praktische
Realisierung und Durchsetzung
ist dann die Aufgabe des Open
Source Review Boards (OSRB).
OpenChain Project
Für Unternehmen auf der Suche
nach definierten Prozessen, Frameworks
und Trainings-Material rund
um die SBOM bietet das von Linux
ins Leben gerufene OpenChain
Project eine gute Anlaufstelle. Der
Zusammenschluss aus über 1.000
Unternehmen ist verantwortlich für
die Standards ISO/IEC 5230:2020
und ISO/IEC DIS 18974, die sich
mit der Nutzung und Dokumentation
von OSS befassen. Umfassende
Guidelines finden sich zudem
auf den Webseiten der US-Behörde
National Telecommunications and
Information Administration (NTIA)
sowie der Cybersecurity and Infrastructure
Security Agency (CISA).
Über die Autorin:
Nicole Segerer blickt auf über
15 Jahre Erfahrung in den Bereichen
Softwareproduktstrategie und Marketing
zurück. Bei ihr dreht sich alles
um die Analyse von Softwareprodukten
und darum, den Mehrwert
der Lösungen sowie das Kundenerlebnis
zu steigern. Als SVP und
General Manager bei Revenera
unterstützt sie Softwareanbieter
und IoT-Hersteller bei der Umstellung
auf neue digitale Geschäftsmodell
und der Optimierung der
Software monetarisierung. ◄
Links:
National Telecommunications and Information Administration (NTIA)
https://www.ntia.gov/page/software-bill-materials
Cybersecurity and Infrastructure Security Agency (CISA)
https://www.cisa.gov/sbom
84 PC & Industrie 11/2023